《(电子行业企业管理)中国移动电子邮件安全配置手册精品》由会员分享，可在线阅读，更多相关《(电子行业企业管理)中国移动电子邮件安全配置手册精品（121页珍藏版）》请在金锄头文库上搜索。
1、密 级：文档编号：项目代号：中国移动电子邮件安全配置手册Version 1.0中国移动通信有限公司二零零四年十二月拟 制:审 核:批 准:会 签:标准化:版本控制版本号日期参与人员更新说明分发控制编号读者文档权限与文档的主要关系1创建、修改、读取负责编制、修改、审核2批准负责本文档的批准程序3标准化审核作为本项目的标准化负责人，负责对本文档进行标准化审核4读取5读取目录第1章.前言81.1.目的81.2.范围8第2章.基本原理说明92.1.电子邮件的传输模式92.2.安全威胁10第3章.安全电子邮件的建构113.1.基本安全原理说明113.2.加强电子邮件服务器系统安全133.2.1.常见问题
2、133.2.2.建议改进措施14第4章.电子邮件安全检查清单19第5章.SENDMAIL安全设定21附录：DOMINO邮件服务器安全配置手册29第1章.概述29第2章.设置NOTES路由30第3章.设置SMTP路由313.1.启用到本地 Internet 网络域外部的 SMTP 路由：313.2.在本地 Internet 网络域内部设置 SMTP 路由323.3.设置服务器接收通过 SMTP 路由发送的邮件333.3.1.启用“监听程序”：333.4.设置转发主机或防火墙34第4章.控制消息处理344.1.改善邮件性能354.2.在日志文件中记录关于邮件的附加信息354.3.暂时禁用邮件路由3
3、54.3.1.从控制台禁用 Router364.3.2.从 NOTES.INI 文件禁用 Router364.3.3.启用 Router364.4.限制返回邮件路由364.5.限制外出消息374.5.1.配置 Internet 回执37第5章.邮件监控工具385.1.跟踪邮件消息395.2.生成邮件使用报告40附录：EXCHANGE 2003邮件系统安全配置手册41第1章.EXCHANGE2003的安全特性411.1.概述411.2.基本安全能力411.2.1.服务器安全411.2.2.客户端安全431.3.安全配置441.4.安全部署451.5.安全管理46第2章.保护电子邮件环境安全462
4、.1.保护客户端安全462.2.保护服务器安全472.3.防病毒措施472.3.1.安装防病毒软件472.3.2.启用附件阻止功能482.3.3.保持软件版本最新502.3.4.处理病毒感染502.4.防垃圾邮件502.4.1.进行用户教育512.4.2.使用Outlook 2003和OWA2003中的垃圾邮件防护功能512.4.3.了解垃圾邮件信任级别基础架构522.4.4.限制Exchange2003通讯组列表532.4.5.在Exchange 2003 SMTP服务器中应用不同筛选类型532.5.防DDOS攻击542.6.防地址欺骗542.6.1.默认身份验证设置542.6.2.跨目录林
5、身份验证设置562.6.3.匿名访问设置562.6.4.反向域名系统查找562.7.防黑客入侵562.7.1.维护防火墙的可用性572.7.2.确保只有正确的通讯才能够通过防火墙572.7.3.监视黑客入侵582.7.4.处理破坏安全的行为582.8.安全审计58第3章.加固EXCHANGE2003服务器603.1.加固Windows基础网络架构603.2.加固后端服务器623.2.1.关闭无用服务633.2.2.加固文件访问ACL653.2.3.更改特权653.2.4.启用其它Exchange服务663.3.加固前端服务器673.3.1.加固前准备673.3.2.加固服务693.3.3.加固
6、文件访问ACL703.3.4.启用其它Exchange服务703.3.5.配置Exchange 2003 URLScan723.3.6.卸掉邮箱存储并删除公用文件夹存储743.4.部署Exchange组策略安全模板753.4.1.支持Exchange2003服务器角色的AD架构753.4.2.保护Exchange2003中的服务器角色773.4.3.导入 Exchange 组策略安全模板783.4.4.使用加固后的Exchange服务器79第4章.EXCHANGE2003服务器安全管理维护804.1.管理权限和角色划分804.2.存储管理814.2.1.使用公用文件夹和邮箱的权限814.3.灾
7、难恢复82第5章.保护EXCHANGE 2003通信安全825.1.概述825.2.Outlook与Exchange的通信安全835.2.1.对Outlook和Exchange服务器之间的MAPI连接进行加密835.2.2.使用S/MIME对邮件进行签名和加密835.3.浏览器和OWA的通信安全835.4.前端服务器和后端服务器之间的通信安全835.5.确保SMTP通信安全845.5.1.使用防火墙来确保SMTP的安全845.5.2.使用单独的SMTP网关845.5.3.防止邮件中继855.6.信息内容版权保护85附录1： 检查表-确保EXCHANGE2003的环境安全85附录2： 检查表-基
8、于角色确保EXCHANGE2003服务器安全86附录3： 检查表-确保EXCHANGE2003通信安全89附录4： EXCHANGE2003使用的TCP/IP端口90附录5： 参考资料92最新信息92Exchange2003丛书92有关技术文章93有关网站93资源工具包94Microsoft知识库文章94附录6：术语表95Windows 2000 和 Active Directory95Exchange 2000101安全117第1章. 前言1.1. 目的随着网络技术的进展以及计算机的普及化，人们的沟通方式出现重大的革命。电子邮件是其中一项最广为被大众所使用的电子沟通传输工具。电子邮件已经成为
9、企业商业及人际交往最重要的交流工具之一了，所以很多黑客也把攻击目标盯上了电子邮件。针对电子邮件的攻击分为二种，一种是直接对电子邮件的攻击，如窃取电子邮件密码，截取发送邮件内容，发送邮件炸弹；另一种是间接对电子邮件的攻击，如通过邮件传输病毒木马。为规范建设企业电子邮件系统、以提高电子邮件的安全性，减低运作障碍发生的可能性，现拟定本管理与建设方法，作为实际执行指引。1.2. 范围本公司信息环境所需的电子邮件系统，包括个人使用者、电子邮件服务器等相关电子邮件系统的建设。第2章. 基本原理说明2.1. 电子邮件的传输模式 根据电子邮件的传输特性，可以将之区分为三个主要的角色：使用者代理程序（User
10、Agent）、传输代理程序（Transport Agent）与邮件分派代理程序（Delivery Agent），分别介绍如下：使用者代理程序 ( User Agent ) 使用者代理程序的主要功能是提供信件发送者发送电子邮件的接口，例如：Windows系统中的Outlook ExpressOutlook、Lotus Notes client、UNIX系统中的elm、mail以及mutt等。除了提供编辑邮件内容的功能之外，还必须收集寄件者、收件者的电子邮件地址资料、附加档案的信息等等，并依照电子邮件通讯协议所订定的格式将资料编辑，汇整邮件内容成封包的形式，传递给传输代理程序，以便进行电子邮件的传
11、递。传输代理程序 ( Transport Agent )传输代理程序在整个邮件的传递过程之中，扮演重要的角色。其根据不同的邮件传递规则的设定，将电子邮件封包传送到下一个计算机的传输代理程序，直到邮件到达了收件者账号所属的计算机为止。邮件分派代理程序 (Delivery Agent )当邮件封包送达了收件者账号所属的计算机之后，邮件分派代理程序便会依照电子邮件上的收件者资料，将邮件分派给指定的收件人。分派信件的方式，最简单的便是将邮件内容写入一个特定的系统档案，在开放权限与收件人存取邮件。当然，也可以加入其它更复杂的处理方式，例如：邮件排序、自动回复讯息等等。依照这样的分类，使用者便可以选择各自
12、所惯用的使用者代理程序，而各个计算机便可以依据需求选用不同的邮件分派代理程序储存使用者的邮件资料，同时，受到电子邮件传输协议的规范，不同的传输代理程序间也可以相互沟通以传输邮件封包。2.2. 安全威胁一般而言，产生电子邮件安全隐忧主要有三种：一、 电子邮件传送协议自身的先天安全隐忧电子邮件传输采用的是SMTP(Simple Mail Transfer Protocol)协议，即简单邮件传输协议，它传输的数据封包没有经过任何加密，只要攻击者在其传输途中把它封包截取即可知道内容；二、 邮件接收客户端软件的默认值邮件接收客户端软件的默认值，大多过于乐观看待网络使用者道德及素养，因此设计上的默认值通常
13、存在许多缺陷，例如微软OutLook、Outlook Express曾存在安全漏洞问题，可以使用编辑部份程序代码，于接收到含有木马或病毒的执行文件时自动执行；三、 用户个人的操作原因导致的安全隐忧如在网咖、学校等共公场所上网，把电子邮件的密码保留在上面或随意打开一些来历不明的电子邮件及附加档案。第3章. 安全电子邮件的建构 3.1. 基本安全原理说明电子邮件传输的安全标准，是让收件者收到正确的邮件内容，同时，除了收件者之外，其它的非法人士无法窥探信件内容。分析这一个标准，可以衍生出四项电子邮件安全的需求：第一，邮件内容不外泄；第二，确保电子邮件的完整性；第三，确认电子邮件的来源；第四，信件发送
14、者无法否认其发送信件的行为。然而在传统的电子邮件传递协议中，却都无法达到这三项需求。 电子邮件传输协议的规划当中，所有的邮件封包内容皆以明文的方式传递，因此，封包在公开的Internet网上传输，处处都有泄密的危机，也使得邮件有被窜改的可能。首先，非法人士有可能通过监听网络，来取得传递电子邮件的封包。透过分析网络封包，非法人士便可以得知邮件内容，更甚而将邮件内容窜改再转送。再者，在电子邮件的传输过程中，必须经过许多的中途传输点 (Internal Node) 的传递才能到达目的地计算机，若是其中一个中途传输点遭到非法人士的入侵，则所有经过该计算机的邮件，都可能被入侵者窥视、窜改、甚而停止电子邮件的传递。第三，收件者的账号可能曾经遭受入侵而且被更改了邮件转送的设定，若收件者没有察觉，则其信件可能被转送到其它的使用者账号之中。 除邮件内容以明文传递之外，
